Cyberbeveiliging staat steeds hoger op de agenda van organisaties. Niet alleen vanwege toenemende dreigingen, maar ook door nieuwe wet- en regelgeving. Met de komst van strengere cyberbeveiligingswetten, zoals de Europese NIS2-richtlijn en nationale implementaties daarvan, ontstaat bij veel organisaties dezelfde vraag:
Worden pentesten straks verplicht? En zo ja, wat wordt er dan precies van ons verwacht?
In dit artikel leggen we uit wat de aankomende cyberbeveiligingswetgeving betekent voor pentesten, hoe dit zich verhoudt tot bestaande securitymaatregelen en wat organisaties nú al kunnen doen om voorbereid te zijn.
Waarom nieuwe cyberbeveiligingswetgeving nodig is
Digitale infrastructuren zijn de afgelopen jaren steeds complexer geworden. Organisaties maken intensief gebruik van cloudplatformen, API-koppelingen, externe leveranciers en SaaS-oplossingen. Tegelijkertijd neemt de impact van cyberincidenten toe: een enkel beveiligingslek kan leiden tot datalekken, uitval van diensten of maatschappelijke ontwrichting.
Wetgevers spelen hierop in met strengere eisen rondom:
- risicobeheersing;
- beveiliging van netwerken en informatiesystemen;
- incidentdetectie en -melding;
- aantoonbare maatregelen om kwetsbaarheden te beperken.
Daarbij verschuift de focus van “best effort” naar aantoonbare controle. En precies daar komen pentesten in beeld.
Wat houdt de cyberbeveiligingswet (zoals NIS2) in hoofdlijnen in?
Hoewel de exacte verplichtingen per sector kunnen verschillen, hebben de meeste cyberbeveiligingswetten dezelfde kern:
- Organisaties moeten risico’s structureel identificeren en beheersen.
- Beveiligingsmaatregelen moeten passend en aantoonbaar zijn.
- Er moet inzicht zijn in kwetsbaarheden binnen systemen, netwerken en applicaties.
- Incidenten moeten tijdig worden gedetecteerd en gemeld.
- Bestuur en management dragen expliciete verantwoordelijkheid.
Belangrijk hierbij is dat wetgeving zelden exacte technische oplossingen voorschrijft. Er staat meestal niet letterlijk: “je moet een pentest uitvoeren”. In plaats daarvan wordt geëist dat organisaties kunnen aantonen dat zij hun digitale risico’s begrijpen en beheersen.
Pentesten zijn daarbij een van de meest gebruikte en erkende middelen.
Zijn pentesten verplicht onder de cyberbeveiligingswet?
Het eerlijke antwoord: niet altijd expliciet, maar in de praktijk vaak wel noodzakelijk.
Wetgeving zoals NIS2 verplicht organisaties om passende technische en organisatorische maatregelen te nemen. Om te kunnen aantonen dat die maatregelen effectief zijn, is inzicht nodig in:
- welke systemen kwetsbaar zijn;
- hoe die kwetsbaarheden misbruikt kunnen worden;
- wat de daadwerkelijke impact is bij een aanval.
Een vulnerability scan alleen is hiervoor doorgaans onvoldoende. Die laat zien dat er kwetsbaarheden zijn, maar niet wat een aanvaller ermee kan doen. Auditors, toezichthouders en interne risk committees verwachten daarom steeds vaker:
- periodieke pentesten;
- duidelijke scope en methodiek;
- reproduceerbare bevindingen;
- opvolging en hertests.
In die zin zijn pentesten geen “checkbox”, maar een logisch gevolg van de eisen die de wet stelt.
Wat verwacht de wet impliciet van pentesten?
Hoewel de exacte invulling per organisatie verschilt, zien we in de praktijk een aantal terugkerende verwachtingen:
1. Relevante scope
Een pentest moet aansluiten op de daadwerkelijke risico’s. Dat betekent bijvoorbeeld:
- webapplicaties die klantdata verwerken;
- API’s die systemen koppelen;
- cloudomgevingen waar bedrijfskritische workloads draaien;
- interne netwerken met gevoelige systemen.
2. Realistische aanvalsscenario’s
Het gaat niet om theoretische kwetsbaarheden, maar om de vraag:
wat kan een aanvaller hier in de praktijk bereiken?
3. Periodiciteit
Een eenmalige test is zelden voldoende. Veel organisaties kiezen voor:
- jaarlijkse pentesten;
- extra tests na grote wijzigingen of releases.
4. Heldere rapportage
Rapporten moeten niet alleen technisch correct zijn, maar ook:
- begrijpelijk voor management;
- bruikbaar voor audits;
- geschikt als onderbouwing richting toezichthouders.
Wat kunnen organisaties nu al doen?
Wachten tot de wet volledig is geïmplementeerd, is zelden verstandig. Organisaties die nu al stappen zetten, lopen straks voor in plaats van achter.
Een praktische aanpak:
- Inventariseer welke systemen onder de wet vallen
Denk aan applicaties, infrastructuur, cloudplatformen en koppelingen. - Bepaal waar de grootste risico’s zitten
Niet alles hoeft tegelijk getest te worden. Begin bij wat de meeste impact heeft. - Kies de juiste testvorm
- Webapplicatie pentest voor maatwerksoftware
- API pentest voor datastromen en autorisatie
- Cloud pentest voor infrastructuur en configuraties
- Netwerk pentest voor interne en externe bereikbaarheid
- Documenteer bevindingen en opvolging
Dit is cruciaal voor compliance: laten zien wat je doet en wat je ermee doet. - Plan hertests
Hiermee toon je aan dat kwetsbaarheden daadwerkelijk zijn verholpen.
Veelgemaakte misvattingen
“We hebben een vulnerability scan, dat is genoeg.”
Voor basisinzicht misschien, maar niet voor aantoonbare risicobeheersing.
“Pentesten zijn alleen voor grote organisaties.”
Juist middelgrote organisaties vallen vaak onder nieuwe wetgeving, terwijl hun security minder volwassen is.
“De wet schrijft geen pentest voor, dus het hoeft niet.”
De wet schrijft resultaat voor, geen middel. In de praktijk is een pentest vaak de enige manier om dat resultaat te onderbouwen.
Conclusie: pentesten als onderdeel van aantoonbare compliance
De aankomende cyberbeveiligingswetgeving vraagt niet om vinkjes, maar om inzicht. Organisaties moeten kunnen laten zien dat zij hun digitale risico’s kennen, begrijpen en beheersen. Pentesten spelen daarbij een centrale rol.
Niet omdat het “moet van de wet”, maar omdat het een van de weinige middelen is die:
- technische diepgang combineert met realistische scenario’s;
- bruikbaar is voor zowel IT-teams als management;
- daadwerkelijk laat zien hoe veilig een omgeving is.
Organisaties die nu al investeren in gerichte pentesten, lopen straks niet achter de feiten aan, maar hebben hun compliance en digitale weerbaarheid structureel op orde.